Partilhar via

Opções de VM Confidencial do Azure

  • Artigo

O Azure oferece opções de TEE (Trusted Execution Environment) da AMD e da Intel. Esses TEEs permitem que você crie ambientes VM confidenciais com excelentes relações preço-desempenho, tudo sem exigir nenhuma alteração de código.

Para VMs confidenciais baseadas em AMD, a tecnologia usada é a AMD SEV-SNP, que foi introduzida com processadores AMD EPYC™ de 3ª geração. Por outro lado, as VMs confidenciais baseadas em Intel utilizam Intel TDX, uma tecnologia introduzida com processadores Intel® Xeon® de 4ª geração. Ambas as tecnologias têm implementações diferentes, no entanto, ambas fornecem proteções semelhantes da pilha de infraestrutura de nuvem.

Tamanhos

Oferecemos os seguintes tamanhos de VM:

Tamanho Família TEE Description
Série DCasv5 AMD SEV-SNP CVM de uso geral com armazenamento remoto. Nenhum disco temporário local.
Série DCadsv5 AMD SEV-SNP CVM de uso geral com disco temporário local.
Série ECasv5 AMD SEV-SNP CVM otimizado para memória com armazenamento remoto. Nenhum disco temporário local.
Série ECadsv5 AMD SEV-SNP CVM otimizado para memória com disco temporário local.
Série DCesv5 Intel TDX CVM de uso geral com armazenamento remoto. Nenhum disco temporário local.
Série DCedsv5 Intel TDX CVM de uso geral com disco temporário local.
Série ECesv5 Intel TDX CVM otimizado para memória com armazenamento remoto. Nenhum disco temporário local.
Série ECedsv5 Intel TDX CVM otimizado para memória com disco temporário local.
Série NCCadsH100v5 GPUs AMD SEV-SNP e NVIDIA H100 Tensor Core CVM com GPU Confidencial.

Nota

As VMs confidenciais otimizadas para memória oferecem o dobro da proporção de memória por contagem de vCPU.

Comandos da CLI do Azure

Você pode usar a CLI do Azure com suas VMs confidenciais.

Para ver uma lista de tamanhos de VM confidenciais, execute o seguinte comando. Substitua <vm-series> pela série que pretende utilizar. A saída mostra informações sobre regiões disponíveis e zonas de disponibilidade.

vm_series='DCASv5'
az vm list-skus \
    --size dc \
    --query "[?family=='standard${vm_series}Family'].{name:name,locations:locationInfo[0].location,AZ_a:locationInfo[0].zones[0],AZ_b:locationInfo[0].zones[1],AZ_c:locationInfo[0].zones[2]}" \
    --all \
    --output table

Para obter uma lista mais detalhada, execute o seguinte comando:

vm_series='DCASv5'
az vm list-skus \
    --size dc \
    --query "[?family=='standard${vm_series}Family']"

Considerações sobre implementação

Considere as seguintes configurações e opções antes de implantar VMs confidenciais.

Subscrição do Azure

Para implantar uma instância de VM confidencial, considere uma assinatura pré-paga ou outra opção de compra. Se você estiver usando uma conta gratuita do Azure, a cota não permitirá o número apropriado de núcleos de computação do Azure.

Talvez seja necessário aumentar a cota de núcleos em sua assinatura do Azure a partir do valor padrão. Os limites padrão variam dependendo da sua categoria de assinatura. Sua assinatura também pode limitar o número de núcleos que você pode implantar em determinadas famílias de tamanhos de VM, incluindo os tamanhos confidenciais de VM.

Para solicitar um aumento de cota, abra uma solicitação de suporte ao cliente on-line.

Se tiver necessidades de capacidade de grande escala, contacte o Suporte do Azure. As cotas do Azure são limites de crédito, não garantias de capacidade. Você só incorre em cobranças pelos núcleos que usa.

Preços

Para obter opções de preços, consulte os preços das máquinas virtuais Linux.

Disponibilidade regional

Para obter informações sobre disponibilidade, consulte quais produtos de VM estão disponíveis por região do Azure.

Redimensionamento

As VMs confidenciais são executadas em hardware especializado, portanto, você só pode redimensionar instâncias confidenciais de VM para outros tamanhos confidenciais na mesma região. Por exemplo, se você tiver uma VM da série DCasv5, poderá redimensionar para outra instância da série DCasv5 ou uma instância da série DCesv5.

Não é possível redimensionar uma VM não confidencial para uma VM confidencial.

Suporte a SO convidado

As imagens do SO para VMs confidenciais têm de cumprir determinados requisitos de segurança e compatibilidade. As imagens qualificadas suportam montagem segura, atestado, criptografia de disco confidencial opcional do sistema operacional e isolamento da infraestrutura de nuvem subjacente. Estas imagens incluem:

  • Ubuntu 20.04 LTS (AMD SEV-SNP suportado apenas)
  • Ubuntu 22.04 LTS
  • Red Hat Enterprise Linux 9.3 (AMD SEV-SNP suportado apenas)
  • Windows Server 2019 Datacenter - x64 Gen 2 (somente suporte para AMD SEV-SNP)
  • Windows Server 2019 Datacenter Server Core - x64 Gen 2 (somente suporte para AMD SEV-SNP)
  • Windows Server 2022 Datacenter - x64 Gen 2
  • Windows Server 2022 Datacenter: Azure Edition Core - x64 Gen 2
  • Windows Server 2022 Datacenter: Azure Edition - x64 Gen 2
  • Windows Server 2022 Datacenter Server Core - x64 Gen 2
  • Windows 11 Enterprise N, versão 22H2 -x64 Gen 2
  • Windows 11 Pro, versão 22H2 ZH-CN -x64 Gen 2
  • Windows 11 Pro, versão 22H2 -x64 Gen 2
  • Windows 11 Pro N, versão 22H2 -x64 Gen 2
  • Windows 11 Enterprise, versão 22H2 -x64 Gen 2
  • Windows 11 Enterprise multi-sessão, versão 22H2 -x64 Gen 2

À medida que trabalhamos para integrar mais imagens do SO com encriptação confidencial do disco do SO, existem várias imagens disponíveis na pré-visualização que podem ser testadas. Você pode se inscrever abaixo:

Para obter mais informações sobre cenários de VM com e sem suporte, consulte suporte para VMs de geração 2 no Azure.

Recuperação de elevada disponibilidade e após desastre

Você é responsável por criar soluções de alta disponibilidade e recuperação de desastres para suas VMs confidenciais. O planejamento desses cenários ajuda a minimizar e evitar o tempo de inatividade prolongado.

Implantação com modelos ARM

O Azure Resource Manager é o serviço de implementação e gestão do Azure. Pode:

  • Proteja e organize seus recursos após a implantação com os recursos de gerenciamento, como controle de acesso, bloqueios e tags.
  • Crie, atualize e exclua recursos em sua assinatura do Azure usando a camada de gerenciamento.
  • Use modelos do Azure Resource Manager (modelos ARM) para implantar VMs confidenciais em processadores AMD.

Certifique-se de especificar as seguintes propriedades para sua VM na seção de parâmetros (parameters):

  • Tamanho da VM (vmSize). Escolha entre as diferentes famílias e tamanhos de VM confidenciais.
  • Nome da imagem do SO (osImageName). Escolha entre as imagens qualificadas do sistema operacional.
  • Tipo de encriptação de disco (securityType). Escolha entre criptografia somente VMGS (VMGuestStateOnly) ou pré-criptografia de disco completo do sistema operacional (DiskWithVMGuestState), o que pode resultar em tempos de provisionamento mais longos. Apenas para instâncias Intel TDX, também suportamos outro tipo de segurança (NonPersistedTPM) que não tem VMGS ou criptografia de disco do sistema operacional.

Próximos passos

Implantar uma VM confidencial do portal do Azure

Para obter mais informações, consulte nossas Perguntas frequentes sobre VM confidenciais.